Esta página se ha traducido con Cloud Translation API.

Gestionar el cifrado en tránsito

En esta página se explica cómo gestionar el cifrado en tránsito de tu clúster.

Para obtener una descripción general del cifrado en tránsito de Memorystore para Redis Cluster, consulta Información sobre el cifrado en tránsito.

Solo puedes habilitar el cifrado en tránsito cuando creas tu clúster de Memorystore. El cifrado en tránsito no se puede inhabilitar en los clústeres creados de esta forma.

Crear una instancia con cifrado en tránsito

Consola

Sigue los pasos que se indican en Crear una instancia de Memorystore for Redis Cluster.

gcloud

Para crear un clúster de Redis que tenga cifrado en tránsito, ejecuta el comando create:

gcloud redis clusters create INSTANCE_ID \
--region=REGION_ID \
--network=NETWORK \
--replica-count=REPLICA_COUNT \
--node-type=NODE_TYPE \
--shard-count=SHARD_COUNT \
--transit-encryption-mode=server-authentication

Haz los cambios siguientes:

INSTANCE_ID es el ID de la instancia de Memorystore for Redis Cluster que vas a crear. El ID de instancia debe tener entre 1 y 63 caracteres, y solo puede incluir letras minúsculas, números o guiones. Debe empezar por una letra minúscula y terminar por una letra minúscula o un número.
REGION_ID es la región en la que quieres colocar la instancia.

NETWORK es la red que se ha usado para crear la instancia. Debe usar el formato projects/NETWORK_PROJECT_ID/global/networks/NETWORK_ID. El ID de red que se usa aquí debe coincidir con el que usa la política de conexión de servicio. De lo contrario, la operación create no se realizará.
REPLICA_COUNT es el número de réplicas que quieres (por partición). Los valores aceptados son 0, 1 y 2.
NODE_TYPE es el tipo de nodo que has elegido. Los valores aceptados son:
- redis-shared-core-nano
- redis-standard-small
- redis-highmem-medium
- redis-highmem-xlarge
Precaución: Te recomendamos que uses el tipo de nodo redis-shared-core-nano solo para desarrollo o pruebas. Si ejecutas Memorystore for Redis Cluster en un entorno de producción, te recomendamos que utilices los tipos de nodo redis-standard-small, redis-highmem-medium o redis-highmem-xlarge. Para obtener más información sobre estos tipos de nodos, consulta Elegir un tipo de nodo.
SHARD_COUNT determina el número de particiones de tu instancia. El número de particiones determina la capacidad total de memoria para almacenar datos del clúster. Para obtener más información sobre las especificaciones de los clústeres, consulta Especificaciones de clústeres y nodos.

Por ejemplo:

gcloud redis clusters create my-instance \
--region=us-central1 \
--network=projects/my-project-335118/global/networks/default \
--replica-count=1 \
--node-type=redis-highmem-medium \
--shard-count=3 \
--transit-encryption-mode=server-authentication

Descargar las autoridades de certificación

Si el cifrado en tránsito está habilitado en tu clúster, verás los certificados de las autoridades de certificación cuando ejecutes el comando get-cluster-certificate-authority:

gcloud redis clusters get-cluster-certificate-authority INSTANCE_ID

Haz los cambios siguientes:

INSTANCE_ID es el ID de tu instancia de Memorystore for Redis Cluster.

El cuerpo de la respuesta incluye certificados de todas las autoridades de certificación aplicables.

Instalar autoridades de certificación en el cliente

Debes instalar las autoridades de certificación de tu clúster en el cliente que se conecta. La instalación de la CA puede variar en función del tipo de cliente. En los pasos que se indican a continuación se explica cómo instalar una CA en una máquina virtual Linux de Compute Engine.

Conéctate con SSH a tu cliente Linux de Compute Engine.
Crea un archivo llamado server_ca.pem en tu cliente:
```
sudo vim /tmp/server_ca.pem
```

Descarga las autoridades de certificación y pégalas en el archivo server_ca.pem que has creado anteriormente.

El texto de las ACs debe tener el formato correcto. El archivo server_ca.pem debería tener un aspecto similar a este:

Tu archivo, como se muestra en el ejemplo anterior, debe seguir estas directrices:

Copia toda la autoridad de certificación, incluidas las líneas -----BEGIN CERTIFICATE----- y -----END CERTIFICATE-----.
Asegúrate de que el texto de las autoridades de certificación esté completamente justificado a la izquierda. No debe haber espacios delante de ninguna línea de las autoridades de certificación.
Cada autoridad de certificación debe añadirse en una línea nueva. No debe haber líneas en blanco entre las autoridades certificadoras.

Configurar el cliente para el cifrado en tránsito

El cliente que uses para conectarte al clúster debe admitir TLS o usar un sidecar de terceros para habilitar TLS.

Si tu cliente admite TLS, configúralo para que apunte a la IP de tu instancia de Redis, al puerto 6379 y al archivo que contiene la autoridad de certificación. Si decides usar un sidecar, te recomendamos que utilices Stunnel.

Conectarse de forma segura a un clúster de Memorystore mediante Stunnel y telnet

Para obtener instrucciones sobre cómo usar Stunnel para habilitar el cifrado en tránsito en un cliente de Compute Engine, consulta el artículo Conectarse de forma segura a una instancia de Memorystore mediante Stunnel y telnet.

Gestionar la rotación de la autoridad de certificación

Debes instalar todas las autoridades de certificación descargables en los clientes que accedan a tu clúster.

Instalar las nuevas ACs, además de las anteriores, una vez que estén disponibles es la forma más sencilla de asegurarse de que tiene las ACs necesarias cuando se produzca el evento de rotación de la autoridad de certificación.

Para asegurarte de que tienes la autoridad de certificación necesaria, solo tienes que comprobar que las autoridades de certificación guardadas en tu archivo de cliente coincidan con las que se muestran al descargar autoridades de certificación. Tanto las autoridades de certificación nuevas como las antiguas están activas durante la rotación para garantizar un tiempo de inactividad mínimo.

Código de ejemplo para conectarse a una instancia que usa el cifrado en tránsito

Para ver un ejemplo de código sobre cómo configurar una biblioteca de cliente para conectarse a una instancia que usa el cifrado en tránsito, consulta el ejemplo de código de la biblioteca de cliente de cifrado en tránsito.